سياسة الخصوصية

1. البيانات التي نجمعها

• بيانات المركز: الاسم، السجل التجاري، الرقم الضريبي، الموقع
• بيانات الأفراد: الاسم، رقم الهوية (للمالك/الموظف)، الجوال، البريد، تاريخ الميلاد، الجنس
• بيانات الزبائن: الاسم، الجوال، الإيميل، سجل الحجوزات والفواتير، نقاط الولاء
• بيانات حساسة (موافقة صريحة منفصلة): بطاقة السلامة قبل الجلسة (حساسية، أمراض مزمنة للتنبيه فقط)
• بيانات تقنية: IP، نوع المتصفح، سجلات الدخول للتدقيق الأمني

ما لا نجمعه: بيانات البطاقات الائتمانية (تُعالَج لدى بوابة الدفع المرخّصة)، بيانات الموقع، بيانات بيومترية.

2. أغراض المعالجة

• تشغيل المنصة (حجوزات، فواتير، CRM، تقارير)
• إصدار فواتير متوافقة مع متطلبات ZATCA
• التواصل التشغيلي (تأكيد الحجز، تنبيهات)
• الالتزام بالمتطلبات القانونية
• الرسائل التسويقية (بموافقة منفصلة، يمكن إلغاؤها في أي وقت)

3. حماية البيانات والبنية التحتية

تُعالَج وتُخزَّن البيانات لدى Supabase (بنية سحابية على AWS — منطقة فرانكفورت، الاتحاد الأوروبي) ببنية معتمدة بشهادات SOC 2 Type II · ISO 27001 من أعلى معايير الأمان عالمياً. كل البيانات مشفّرة بـ AES-256 at-rest + TLS 1.3 in-transit، والبيانات الحساسة مشفّرة إضافياً على مستوى الحقل (AES-256-GCM). يتم نقل البيانات خارج المملكة وفق الضوابط النظامية للنقل في نظام حماية البيانات الشخصية (PDPL) مع ضمانات تعاقدية وتقنية مكافئة.

4. مزوّدو الخدمة (Sub-processors)

• Supabase Inc. — قاعدة البيانات + المصادقة + التخزين (بنية AWS، منطقة فرانكفورت eu-central-1) — SOC 2 Type II · ISO 27001
• Vercel Inc. — استضافة الموقع (عالمي/CDN)
• هيئة الزكاة (ZATCA) — الفوترة الإلكترونية (السعودية)
• Moyasar — بوابة الدفع: معالجة مدفوعات الاشتراك (PCI-DSS، السعودية)
• Meta WhatsApp — التذكيرات (مستقبلاً، بموافقتك)

5. عزل البيانات بين المراكز

بيانات كل مركز معزولة تماماً عن بقية المراكز عبر Row Level Security على مستوى قاعدة البيانات. مستحيل لأي مركز أو شخص آخر الاطلاع على بيانات مركز ثاني.

6. الإجراءات الأمنية

• تشفير في النقل (TLS 1.3) وفي التخزين (AES-256)
• كلمات المرور مشفّرة بـ bcrypt (لا تُحفَظ كنص)
• نسخ احتياطية يومية مشفّرة
• سجل تدقيق لأي وصول من فريق الدعم (Impersonation Logs)
• عزل صارم بين المراكز عبر RLS

7. مدة الاحتفاظ

• الحساب النشط: طوال فترة الاشتراك
• بعد الإنهاء: 60 يوم سماح ثم تُحذف البيانات نهائياً
• الفواتير: ضمن حسابك طوال اشتراكك — والاحتفاظ النظامي بنسخها (ZATCA/ضريبة) مسؤولية منشأتك، مع تصدير كامل متاح قبل الحذف
• بطاقة السلامة: حتى الحذف بطلبك

8. حقوقك (وفق PDPL)

• الوصول لبياناتك ومعرفة ما نعالجه
• تصحيح بياناتك غير الدقيقة
• حذف بياناتك (مع استثناءات للالتزامات القانونية)
• نقل بياناتك بصيغة قابلة للقراءة (JSON/CSV)
• الاعتراض على معالجة معينة (مثل التسويق)
• سحب موافقتك في أي وقت

كيف؟ راسلنا على admin@spasuit.app — نلتزم بالرد خلال 30 يوماً.

9. الشكاوى للجهة الرقابية

إذا لم تقتنع برَدّنا، يحق لك تقديم شكوى لـ الهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA) عبر موقعها الرسمي sdaia.gov.sa.